fuzzylime CMS 3.01 polladd.php远程代码执行漏洞利用

这是一款针对Fuzzylime CMS 3.01版本的远程代码执行漏洞利用脚本，由real与inphex共同开发。其核心思路简洁明了：通过构造特定的HTTP请求，将恶意代码注入服务器的日志文件，随后访问该日志文件以触发代码执行。 从技术实现角度分析，该脚本的工作流程可拆解为以下关键步骤： **1. 攻击初始化与配置** 脚本首先通过命令行参数接收目标主机（`$host_`）与路径（`$path_`），随后构建攻击载荷。攻击目标为 `code/polladd.php` 文件，通过GET请求传递三个参数： - `poll`：值为 `....//swear`，用于指定经过路径穿越后的日志文件路径。 - `log`：值为 `1`，用于触发日志记录功能。 - `_SERVER[REMOTE_ADDR]`：此参数最为关键，其值被精心构造为 `";eval($_POST[cmd]); ?>`，这是一个典型的PHP代码注入手法。当服务器将用户提供的 `REMOTE_ADDR` 写入日志时，实际写入的是一段可执行的PHP代码。 **2. 主循环与命令执行** 脚本进入无限循环，等待用户输入待执行的命令。每次输入后，它会构造新的请求，目标变为 `code/polls/swear.inc.php`（即第一步中通过路径穿越写入的日志文件）。此次采用POST方法，参数为 `cmd`，其值就是用户输入的指令，并被包装在 `system()` 函数中执行。 **3. 辅助函数** 为支撑上述攻击流程，脚本还实现了一系列辅助函数： - `start()`：核心调度函数，负责解析攻击配置、构建HTTP请求（借助 `LWP::UserAgent` 库），并根据指定的攻击方法（如 `REMOTE_CODE_EXECUTION`）调用相应处理函数。 - `attack()`：处理GET与POST请求，支持正则表达式匹配响应内容，用于提取所需信息。 - `sql_injection_blind()`：用于SQL盲注的函数，但在此脚本中未直接启用。 - `check()`：在盲注场景中用于判断某一字符是否匹配。 - `modify()`：用于在请求字符串中动态替换占位符（如 `$i`、`$h`），在盲注流程中非常实用。 - `get_d_p_s()`：从攻击配置中提取GET、POST或Header参数。 - `get_data()` 与 `post_data()`：分别用于发送GET与POST请求，并返回响应内容。 **总结** 该漏洞利用脚本的核心在于利用Fuzzylime CMS在日志记录时对用户输入（`REMOTE_ADDR`）缺乏过滤，从而允许攻击者将PHP代码写入日志文件，再通过访问该日志文件执行任意系统命令。整个流程设计精妙，体现了漏洞利用工具的专业性与针对性。